php - 这对于 SQL 注入(inject)是否足够安全

Question

我刚刚阅读了有关 SQL 注入(inject)的内容，并在我正在阅读的博客上找到了这个函数我想知道它对 SQL 注入(inject)是否安全。如果我将 do remove_mq($_POST) 传递给它，我可以使用 $_POST["var"]在查询中没有问题？

function remove_mq($array){
    foreach($array as $key => $value){
        if(is_array($value)){
            $array[$key] = remove_mq($value);
        }
        else{
            $array[$key] = addslashes($value);
        }
    }
    return $array;
}

Answer 1

没有。 Addslashes 不是为查询转义的正确函数。您需要使用 mysql_real_escape_string

除此之外，您不应该在实际使用查询中的值之前不执行SQL 转义。假设你有类似 <input name="foo" value="$_POST[foo]" 的东西- 那么你需要它 htmlspecialchars() -转义而不是addslashes (etc.)-转义

---

除此之外，最好的解决方案是使用 PDO使用准备好的语句，因为您将 SQL 查询与参数分开，因此您根本不需要任何转义。